鑽石舞台

圖一、變局的表象分析

從環境分析的經典方法PEST分析的模型來看，當下的變局表現在政治、經濟、社會、技術四個方面的變革與挑戰。當下中國面臨的熱點，中美競爭的大環境透露出遊戲規則的不確定性和文明衝突的加劇，在貿易戰和技術制裁的雙層加壓下，俄烏戰爭為地緣政治摩擦和文明衝突加劇做出了中美台灣事務摩擦試驗性的註解。同樣，在三觀認知層面和經濟發展層面，中國與西方社會對新冠疫情的處理機制同樣體現出文明衝突的深層邏輯。這些認知差異，進一步導致文明內部族群的分裂與異議，進一步加速社會多元化發展的趨勢。

全球化浪潮席捲世界30年，中國作為受益者，堅定保持對外開放的基本國策，但因為對平等的追求以及底線的堅守，使得我國在面對武器化的貿易戰挑戰，技術封鎖造成的供應鏈困局時，不得不選擇自力更生的信創道路。而過程中破繭重生的痛苦，窒息帶來的生死危機顯然不能以陣痛二字一言而代之，也逼迫每個企業重新思考自己的戰略布局以及發展規劃，危機意識和風險管理對企業的生死存亡至關重要。

社會層面的變革，相對於政治和經濟的外部威脅，更多來自於內部的壓力，平台經濟以及互聯網和移動互聯網在中國的高速發展，頗有對發達經濟體彎道超車的意味；移動支付和短視頻在海外的攻城略地，有效地激發了大眾的民族自豪感。打開窗戶，進來的不但有新鮮的空氣，也會有蚊子和蒼蠅，承載數字貨幣的區塊鏈的快速發展，在去中心化、匿名化領域持續發展，2.0的智能合約，3.0的區塊鏈民主以web3.0的姿態橫空出世，挑戰當下中國的社會治理結構，竟然鼓吹者眾。這顯然是不了解中國社會的治理結構與底層邏輯，中國政府2016年的決策雖然未必未卜先知，但絕對表現出在萌芽狀態就要徹底扼殺的態度。元宇宙在數字孿生、虛擬現實、CPS等基礎上開創了人類社會的虛擬化元年，往何處去，個人尚看不清楚，但明顯不是挑戰物理世界治理法則的法外之地。因此，抱有不切實際幻想者趁早更弦易轍。當然，不能否認網絡空間對社會不可逆的影響，網絡暴力事件此起彼伏，社群的割裂與小眾文化的崛起，對網絡社會的治理提出更高的要求，其中，數據和算法評估、評價以及治理機制仍有極大的發展空間。

安全作為技術從業者的一員，技術的變革更為熟悉。但身在其中，難免有溫水煮青蛙的嫌疑，容易忽視技術對政治、經濟、社會影響的範圍與力度。牽一髮而動全身，技術的發展在人類歷史上的價值不言而喻，蒸汽機開啟了工業文明，計算機開啟了信息化時代，當下是處在數據時代的發端還是信息化時代的2.0版本仍需要現實的檢驗，但人工智能、大數據和萬物互聯技術的螺旋纏繞發展，勢必會帶來人類社會的深刻變革。數據作為新時代的石油，源自於萬物互聯建立的網絡礦山，發揮價值和作用依賴於具備引擎作用的算法，人工智能是個抽象的主題，本質上是軟件定義一切，代碼即規則的體現。

圖二、企業發展的數字化引擎

我們討論的主題聚焦於企業安全，企業的業務發展戰略和組織模式的發展與變革，與所處環境密切相關，了解了相關環境的動盪與發展，才能澄清企業發展的邏輯模式以及對底層信息化技術架構的需求。

企業的技術戰略需求源自於兩個維度，一個是企業業務發展過程中面對環境動盪背景下的需求，一個是當下技術發展。

相對於前文提到的技術發展，從第一節的分析來看，企業的業務需求來自三個方面，一是合規的需求，除了傳統意義上的合規，例如持牌業務經營的需求之外，這裡強調的是政治、經濟、社會、技術發展過程中變化帶來的合規需求，數據尤其是個人敏感數據對個人人格權利侵犯的合規要求。自歐盟2015年GDPR出台以來，成為各國政府立法和關注的熱點，而高額的罰款除了對用戶權力保護之外，顯然也被用作貿易戰的武器，而各國的立法既有保護用戶的需求，也有對等制裁、談判砝碼的意味，中國的《個人信息保護法》在2021年的出台，也是積極的立法應對。目前歐盟在數據和算法方面的立法已經進入實質性的階段，中國幾乎同步進入相關領域，顯然更重視網絡空間治理合規的要求，算法的治理相對於對個人權益的保護，範圍更涉及消費者保護，反壟斷，以及社會治理領域，對企業的規範化發展和外部性制約，顯然更加嚴格。

供應鏈安全首當其衝的是技術制裁帶來技術壁壘引起的風險，中國的卡脖子工程主要解決芯片等領域的信創問題，但俄烏戰爭爆發後的西方社會集體制裁，顯然超出了想象的範圍，已購軟件的使用和服務風險，開源軟件的使用和提交風險，進一步擴大了供應鏈的風險範圍。其中開源軟件作為互聯網和數字化企業避免重複造輪子戰略的部分，在開放共享協作的模式下立下汗馬功勞，但確實面臨着更新、維護、發展的風險，如果再附加上斷供的風險，成為最大的短板之一，令人不寒而慄。

供應鏈安全的需求也涉及到合規的問題，從更早出台的《國家安全法》《網絡安全法》，相應的配套措施《網絡安全審查管理辦法》的持續更新和審定來看，國家進一步關注中美貿易戰和技術制裁過程中涉及的供應鏈安全風險問題，以及美國稜鏡門之後暴露的設備後門和全球監控的風險治理。因此，對企業的基礎設施建設，安全保障能力，技術供應鏈風險治理等方面提出更多的合規要求。

數字化是企業在面臨着動盪環境時實現企業競爭的必備手段，面對數字化原生企業的衝擊，傳統企業必須經過數字化轉型的蛻變，才能達成公平競爭的起跑線，不然，在競爭壓力面前，如果沒有政策的加持，只能丟盔棄甲不戰而逃。多年前馬雲豪邁地說」如果銀行不改變我就改變銀行「，本質上就是數字化對銀行的壓力與挑戰，當然由於銀行屬於持牌業務，政策的加持帶來了天然的壁壘，即使如此，我們也能看到四大行為首的傳統銀行業對金融數科不計成本的投入，以期迎頭趕上。

結合技術發展的現狀與業務發展的需求，我們對企業的技術戰略要點加以梳理，大概從四個方面進行描述。

首先是敏捷的開發和運營。相對於傳統企業以商業軟件套裝（COTS）作為信息化的基礎設施，甚至作為非關鍵領域外包，數字化企業的業務核心流程構建在信息系統上，業務信息系統成了企業的核心競爭力，必然是定製和敏捷的系統。開發模式不能以通過瀑布流程按年為單位發布軟件系統的傳統產品開發模式，也難以開發和運維割裂的模式去部署和發布。

其次是彈性的基礎設施，從物理單機到集群到虛擬機的雲計算，基礎設施一直在彈性上提升效能，但虛擬機模式依然是對物理單機的模仿，其持久化和資源消耗依然存在效率瓶頸，而進一步實現對物理單機模式的脫離，實現非持久化彈性是對彈性不懈的追求。

業務軟件包括子系統、模塊化、積木式的架構發展，但在業務層面的解藕實現小團隊開發和維護，是從分而治之的科學思維的延伸，兩塊披薩餅的規則可以從稻盛和夫業務發展的阿米巴團隊結合，探討服務分解的結構。

圍繞對技術架構的本質需求是實現需求的持續交付，把交付時間壓縮到即時。可以看到，對技術戰略需求本質上並不是加強規劃和預測，這也幾乎是不太可能實現的目標，而是希望技術能夠實現對變化環境的快速響應，以技術戰略和組織模式的不變應對環境的萬變。

技術戰略的四個需求，可以看到明顯對應的是CNCF的雲原生DevOps、容器雲、微服務和CI/CD的四個特徵。因此，也可以看出雲原生架構是適應當下變局的技術戰略必經之路。

圖三、動盪時代的安全

動盪時代的安全，首先需要從我們推導的技術戰略方案的雲原生談起。雲原生安全是我們首先關注的要點，限於篇幅的原因，本文就不再對這個環節展開闡述，去年我的一篇文章對雲原生安全做過分析，有興趣的讀者可以按圖索驥。《雲原生安全的陷阱與機遇 --雲原生安全的創新、挑戰的關鍵詞》

但是，我們顯然不能僅關注云原生安全自身，我們也需要關注技術戰略需求的兩個來源：技術發展與業務需求的安全需求。

技術發展，關注的是技術自身的安全，物聯網的安全涉及到脫離管控環境的終端設備的安全，相對於移動互聯網的終端，物聯網終端的處理能力，環境複雜性和場景複雜性帶來更多的挑戰。身份認證，加解密等基礎安全能力的承載需要考慮性能的影響和場景的制約，涉及到嵌入式安全和邊緣計算的話題，同樣只能一筆帶過。人工智能或者泛化為算法，安全更多關注的是可解釋性、可信性、可驗證性、可測評和認證，如果說算法包羅萬物，那麼如何把它關在籠子裡是安全需要考慮的範圍。數據安全主要包含隱私和安全兩個話題，其中的關鍵點除了要做好能力建設之外，更需要關注的數據安全的可見、可管、可控、可審、可追溯，這需要整個運營體系的建設。具體內容，可參考我的一個錄播內容《從能力到運營—數據安全深水區玩法》

業務安全在企業數字化背景下涉及到業務流程數字化的技術風險防範，首先關注的是業務攻防的對抗，涉及到用戶環境，業務邏輯的黑灰產欺詐與攻擊的對抗和防範。其次是關注算法與數據在監管合規層面的風險，建立算法、數據的評估、測評和檢測、監控、審計機制，保障算法和數據的監管合規。第三是要關注供應鏈的安全，供應鏈安全除了我們前面提及的軟硬件供應鏈風險之外，還需要進一步擴充到企業數字化過程中合作方的風險，實現生態的安全保障，有興趣深入的讀者可以參考我去年關於供應鏈安全的文章，《從供應鏈到生態——情景化安全的創新與挑戰》

從上述分析可以看到，相對與傳統安全關注的領域之外，本文主要面對當下動盪世界帶來的技術變革對安全的影響，其中所謂「變」的部分。但我們可以看到，這些面對的是安全在場景下表現出來的相關風險的應對，本質上是安全的情景化解決方案。不變的部分是安全本身的邏輯、方法以及過程實踐，同樣需要我們基於風險評估的方法，對涉及到的資產進行梳理，評估其中的威脅、漏洞以及暴露帶來的影響，從而制定相應的安全策略，尋找針對性的解決方案，通過技術、管理的手段，實現對風險的預防、檢測、監測，對事件的應急響應、審計、追溯和反擊。在實踐過程中，既要關注安全能力的建設，也要關注安全運營體系的構建，動態的跟蹤和處置風險，實現風險的可見、可管、可控。需要結合安全能力成熟度模型，進行差距分析，規劃安全戰略，實現持續改進的安全管理體系，為業務保駕護航。

推薦閱讀

2022諸子筆會

【5月主題：安全之變】

王忠惠 張永宏朱文義於閩東

推薦閱讀

2021首屆諸子筆會

頒獎|評優投票|1月盤點|12月盤點

11月盤點|10月盤點|9月盤點|8月盤點

7月盤點|6月盤點|組團|報名

戳原文閱讀查看往期徵文合集

齊心抗疫 與你同在

你怎麼這麼好看